// 版权所有2010 Go作者。保留所有权利。
// 此源代码的使用受BSD样式
// 许可证的约束，该许可证可以在许可证文件中找到。

package smtp

import (
	"crypto/hmac"
	"crypto/md5"
	"errors"
	"fmt"
)

// Auth由SMTP身份验证机制实现。
type Auth interface {
	// Start开始对服务器进行身份验证。
	// 返回身份验证协议的名称
	// 以及发送到服务器的初始身份验证消息
	// 中包含的可选数据。
	// 如果返回非零错误，SMTP客户端将中止
	// 身份验证尝试并关闭连接。
	Start(server *ServerInfo) (proto string, toServer []byte, err error)

	// 下一步继续验证。服务器刚刚发送了
	// 来自服务器的数据。如果“更多”为真，则服务器需要一个
	// 响应，该响应下一步应作为toServer返回；否则
	// 下一步应该返回到服务器==nil。
	// 如果Next返回非零错误，SMTP客户端将中止
	// 身份验证尝试并关闭连接。
	Next(fromServer []byte, more bool) (toServer []byte, err error)
}

// ServerInfo记录有关SMTP服务器的信息。
type ServerInfo struct {
	Name string   // SMTP服务器名称
	TLS  bool     // 使用TLS，名称为
	Auth []string // 公布的身份验证机制
}

type plainAuth struct {
	identity, username, password string
	host                         string
}

// PlainAuth返回实现RFC 4616中定义的普通身份验证
// 机制的身份验证。返回的身份验证使用给定的
// 用户名和密码对主机进行身份验证并充当身份验证。
// 通常标识应该是空字符串，用作用户名。
// 
// 仅当连接使用TLS 
// 或连接到本地主机时，PlainAuth才会发送凭据。否则，身份验证将失败，并出现
// 错误，而不发送凭据。
func PlainAuth(identity, username, password, host string) Auth {
	return &plainAuth{identity, username, password, host}
}

func isLocalhost(name string) bool {
	return name == "localhost" || name == "127.0.0.1" || name == "::1"
}

func (a *plainAuth) Start(server *ServerInfo) (string, []byte, error) {
	// 必须有TLS，否则为本地主机服务器。
	// 注意：如果TLS不是真的，那么我们就不能信任ServerInfo中的任何内容。
	// 尤其是，服务器是否公布普通身份验证并不重要。
	// 这可能只是攻击者说的
	// “没关系，你可以用密码相信我。”
	if !server.TLS && !isLocalhost(server.Name) {
		return "", nil, errors.New("unencrypted connection")
	}
	if server.Name != a.host {
		return "", nil, errors.New("wrong host name")
	}
	resp := []byte(a.identity + "\x00" + a.username + "\x00" + a.password)
	return "PLAIN", resp, nil
}

func (a *plainAuth) Next(fromServer []byte, more bool) ([]byte, error) {
	if more {
		// 我们已经把所有的东西都寄出去了。
		return nil, errors.New("unexpected server challenge")
	}
	return nil, nil
}

type cramMD5Auth struct {
	username, secret string
}

// CRAMD5AUTH返回一个实现CRAM-MD5身份验证的Auth 
// RFC 2195中定义的机制。
// 返回的身份验证使用给定的用户名和密码，使用质询响应机制向服务器进行身份验证。
func CRAMMD5Auth(username, secret string) Auth {
	return &cramMD5Auth{username, secret}
}

func (a *cramMD5Auth) Start(server *ServerInfo) (string, []byte, error) {
	return "CRAM-MD5", nil, nil
}

func (a *cramMD5Auth) Next(fromServer []byte, more bool) ([]byte, error) {
	if more {
		d := hmac.New(md5.New, []byte(a.secret))
		d.Write(fromServer)
		s := make([]byte, 0, d.Size())
		return []byte(fmt.Sprintf("%s %x", a.username, d.Sum(s))), nil
	}
	return nil, nil
}
